VPN en Chine : pourquoi le vôtre tombe, et ce qui tient encore

En Chine, un VPN grand public ne tombe presque jamais parce que le site visé est bloqué : c’est le tunnel lui-même qui est reconnu, puis coupé. Ce qui tient encore, ce sont les protocoles qui ressemblent à du HTTPS ordinaire (VLESS+Reality, Shadowsocks 2022, Trojan) et les liaisons privées d’entreprise, à condition d’avoir tout installé et testé avant d’entrer sur le territoire.

Sommaire

Ce que fait réellement le Grand Firewall

Ce n’est pas une liste noire de sites.

Le dispositif combine au moins quatre mécanismes qui agissent à des endroits différents de la connexion. Une réponse DNS forgée est injectée sur le port UDP 53 et arrive avant la vraie, donc votre résolveur retient la fausse ; des adresses factices historiquement observées comme 8.7.198.45 ou 243.185.187.39 ont longtemps trahi l’injection à l’œil nu, avant que les réponses ne deviennent plus plausibles. Un paquet TCP RST est injecté dans les deux sens quand le nom de domaine apparaît en clair dans le champ SNI du ClientHello TLS. Certaines plages d’adresses sont purement et simplement mises au trou noir. Et depuis août 2020, une négociation TLS portant l’extension ESNI est bloquée pour ce seul motif.

S’ajoute le sondage actif. Quand une connexion suspecte est repérée, un système chinois rejoue lui-même une connexion vers votre serveur, sur le même port, pour voir comment il répond. Un serveur VPN qui répond quelque chose de reconnaissable à cette sonde est fiché, puis son adresse IP devient injoignable depuis toute la Chine, souvent en quelques minutes.

Depuis novembre 2021, une règle supplémentaire vise le trafic « entièrement chiffré » : un premier paquet dont les octets ne contiennent aucun motif ASCII lisible et dont la distribution des bits est trop uniforme peut être coupé, par intermittence. C’est ce comportement qu’ont documenté des travaux présentés à USENIX Security 2023, et c’est ce qui a tué la plupart des configurations Shadowsocks de première génération.

`dig +short www.google.com @1.1.1.1` répond instantanément une adresse fantaisiste : injection DNS.
`curl -v https://www.google.com` coupe juste après le ClientHello avec « connection reset by peer » : filtrage sur le SNI.
Le même curl reste muet jusqu’au timeout, sans un octet en retour : l’adresse IP est au trou noir.
La connexion tient cinq minutes, meurt, et le serveur devient injoignable même en ping : sondage actif réussi, votre IP est brûlée.

Pourquoi votre VPN grand public tombe

Prenez WireGuard. Son paquet d’ouverture fait exactement 148 octets, commence par un octet de type valant 1 suivi de trois octets réservés à zéro, et la réponse du serveur en fait 92. Ce gabarit est identifiable au premier paquet, avant tout échange de données, et aucune option du fichier de configuration ne le change.

OpenVPN n’est pas mieux loti : l’opcode du premier octet et la séquence de tailles pendant la poignée de main suffisent. Basculer sur le port TCP 443 déguise la destination, pas le contenu. `tls-crypt` chiffre bien l’en-tête de contrôle, mais le rythme des paquets reste caractéristique, et le sondage actif fait le reste.

IKEv2, défini par la RFC 7296, expose ses premiers payloads en clair sur les ports UDP 500 et 4500. Quant à PPTP, il repose sur GRE (protocole 47), un protocole si rare en sortie de Chine qu’il se repère sans effort, et son chiffrement est cassé depuis longtemps de toute façon.

Protocole	Port par défaut	Ce que voit le filtre	Utilisable en Chine
PPTP	TCP 1723 + GRE 47	Protocole rare, en-têtes en clair	Non
L2TP/IPsec	UDP 500, 1701, 4500	Négociation IKE reconnaissable	Non
IKEv2 (RFC 7296)	UDP 500 / 4500	Payloads IKE en clair au début	Très rarement
OpenVPN	UDP 1194 ou TCP 443	Opcode et gabarit du handshake	Non sans obfuscation
WireGuard	UDP 51820	Paquet de 148 octets, format figé	Non sans obfuscation
Shadowsocks 2022 (SIP022)	libre, souvent TCP 443	Flux sans motif : cible du filtre « tout chiffré »	Oui, avec réserves
VLESS + Reality	TCP 443	Un vrai handshake TLS vers un domaine tiers	Oui à ce jour

Ce qui passe encore, et à quelles conditions

La logique gagnante a changé : il ne s’agit plus de chiffrer plus fort, mais de ne pas ressembler à un tunnel.

Reality, dans Xray-core, pousse l’idée jusqu’au bout. Le serveur emprunte la poignée de main TLS d’un vrai site tiers que vous choisissez, si bien qu’une sonde qui vient tester votre adresse reçoit le certificat authentique de ce site et n’a rien à signaler. Shadowsocks 2022 (spécification SIP022) corrige de son côté les faiblesses d’en-tête qui rendaient les anciennes versions détectables, mais reste exposé à l’heuristique du trafic entièrement chiffré s’il n’est pas enveloppé dans du TLS.

Côté Tor, les ponts obfs4 publics sont énumérés et bloqués ; Snowflake fonctionne par périodes.

Un point que les comparatifs oublient : tout se dégrade autour des dates politiques. Sessions parlementaires de mars, congrès du Parti, début juin. Une configuration stable depuis six mois peut cesser de fonctionner pendant dix jours puis revenir sans que rien n’ait changé chez vous. Emportez deux solutions techniquement différentes, pas deux abonnements chez le même fournisseur, qui partagent souvent les mêmes plages d’adresses.

Pour une entreprise, la voie propre existe et ne passe pas par un abonnement grand public : une liaison louée internationale (IPLC) ou un MPLS souscrit auprès d’un opérateur licencié, avec le service informatique du siège au bout.

Ce qu’il faut faire avant de décoller

Apple a retiré les applications VPN de l’App Store chinois en juillet 2017, et le Play Store n’est pas accessible depuis la Chine continentale. Une fois sur place, télécharger un client devient un problème en soi : le site du fournisseur est généralement bloqué, la page de paiement aussi, et créer un compte sans carte bancaire étrangère opérationnelle relève de la chance.

Donc tout se prépare avant.

Installer et surtout tester au moins deux clients différents depuis chez vous, connexion réellement établie, pas seulement l’application installée.
Recopier ailleurs que dans l’application les adresses, ports, UUID et clés de vos serveurs : si le site du fournisseur est injoignable, vous ne récupérerez plus la configuration.
Activer un DNS chiffré (DoH sur 443, DoT sur 853 est souvent bloqué), sinon la résolution reste empoisonnée dès que le tunnel se coupe.
Garder l’itinérance avec votre carte SIM étrangère comme canal de secours : le trafic est tunnelé vers votre opérateur d’origine et ne traverse pas les passerelles filtrées. C’est cher, et quelques opérateurs cassent ce comportement via leurs accords locaux, mais cela dépanne à l’aéroport.
Désactiver la reconnexion automatique agressive : une application qui relance un handshake détectable toutes les cinq secondes accélère le fichage de l’adresse IP du serveur.

Légalité, et la confusion à éviter

Le cadre vient d’une circulaire du MIIT de janvier 2017 sur le nettoyage du marché de l’accès à internet, avec une échéance fixée au 31 mars 2018 : monter ou revendre un canal transfrontalier sans licence d’opérateur est ce qui est visé, dans la continuité des règlements du Conseil des affaires d’État de 1996 imposant que les connexions internationales passent par des canaux agréés. Les VPN d’entreprise déclarés restent parfaitement légaux, c’est même la raison d’être des offres IPLC.

Pour un voyageur, la pratique et le texte ne coïncident pas. L’usage personnel n’est pas poursuivi de façon systématique, des cas isolés d’amendes de l’ordre de 1 000 yuans ont été rapportés par la presse chinoise à l’encontre de résidents, et l’application varie selon les provinces et les périodes. Je ne connais pas de statistique publique fiable sur ces sanctions, et personne n’en publie.

Reste la confusion la plus fréquente, celle qui coûte des heures de dépannage : Shadowsocks, V2Ray, Xray et Trojan ne sont pas des VPN. Ce sont des proxys. Ils ne créent pas d’interface réseau virtuelle et ne captent pas tout le trafic de la machine, ils traitent ce que chaque application veut bien leur envoyer. Conséquence concrète : votre navigateur passe, et dans le même temps un client de messagerie, une mise à jour système ou une requête DNS d’une application qui ignore le proxy système sort en clair et échoue, ou pire, révèle ce que vous consultez.

Deuxième confusion : « mon VPN ne marche pas » désigne parfois un service qui bloque la Chine de son côté, ou une application qui refuse de fonctionner à cause de sa propre géolocalisation. Vérifiez d’abord si le tunnel monte, ensuite seulement si le service distant répond.

Testez vos connaissances

Quiz rapide Question 1 sur 3

Pourquoi un handshake WireGuard est-il facile à détecter en Chine ?

Questions fréquentes

Est-ce que je risque quelque chose en tant que touriste ?

En pratique, l’usage personnel par un visiteur n’est pas ciblé : la réglementation vise la fourniture et la revente de canaux transfrontaliers sans licence. Des amendes individuelles autour de 1 000 yuans ont été rapportées contre des résidents, jamais de façon systématique. Il n’existe pas de chiffre public fiable sur la fréquence de ces sanctions, et l’application varie d’une province à l’autre.

Mon VPN fonctionnait l’an dernier, pourquoi plus maintenant ?

Deux causes possibles. Soit l’adresse IP de votre serveur a été identifiée par sondage actif et mise au trou noir, auquel cas le serveur ne répond même plus au ping depuis la Chine alors qu’il répond depuis l’Europe. Soit votre protocole a été rattrapé par une nouvelle règle de détection, comme celle qui vise depuis fin 2021 le trafic entièrement chiffré. Testez le ping depuis les deux côtés, c’est le test qui départage.

Un VPN gratuit suffit-il ?

Non, et pas pour des raisons de confort. Tenir en Chine coûte cher en renouvellement d’adresses IP brûlées, ce qu’un service gratuit ne finance pas. Beaucoup de ces applications monétisent par ailleurs les données de navigation, ce qui annule l’intérêt de la démarche.

La 4G d’un opérateur chinois filtre-t-elle autant que le Wi-Fi d’un hôtel ?

Oui, le filtrage se fait aux passerelles internationales, pas au niveau de votre accès. La différence tient à ce que l’établissement ajoute par-dessus : portail captif, ports sortants restreints, parfois blocage du 443 non-HTTP. Un tunnel qui marche en 4G et échoue au bureau vient presque toujours du réseau local, pas du Grand Firewall.

Le partage de connexion depuis un téléphone en itinérance est-il une solution durable ?

Comme dépannage, oui : le trafic remonte tunnelé jusqu’à votre opérateur d’origine et échappe au filtrage. Sur un séjour long, le coût et les plafonds de données rendent la chose intenable, et certains opérateurs basculent le trafic localement via leurs accords chinois, ce qui ramène le filtre.